Gelöschte Ordner mit ShellBags nachweisen
Mit ShellBags belegen, dass ein gelöschter oder umbenannter Ordner existierte: Pfad, eingebettete Zeiten, MFT-Eintrag und Sequenz, bestätigt über $MFT und USN.
Beiträge mit Tag: #timeline-analysis
ShellBags und USB-Forensik: ein Ermittlungsbeispiel
Ein fiktiver Fall Schritt für Schritt: ShellBags zeigen ein Dienstkonto in einem ZIP, einer Finanzfreigabe und auf einem USB-Stick. Was das belegt.
ShellBags vs. LNK-Dateien, Jump Lists und RecentDocs
Vier Artefakte der Benutzeraktivität im Vergleich: was ShellBags, LNK-Dateien, Jump Lists und RecentDocs aufzeichnen, was sie belegen und wo sie blind sind.
ShellBags-Zeitstempel erklärt: was jede Zeit bedeutet
Schlüssel-LastWrite, aus MRUListEx abgeleitete letzte Interaktion und eingebettete FAT-Zeiten: was jeder ShellBags-Zeitstempel belegt, mit Beispiel und Fallen.